1–3: eigenaarschap, dossiers en toegang
Beleg eerst wie verantwoordelijk is voor ieder zorgproces en wie privacyacties uitvoert. Breng daarna medische of cliëntdossiers, gegevensstromen en systemen in kaart. Controleer of medewerkers alleen toegang hebben die bij hun actuele taak past en of uitzonderingen, waarneming en spoedtoegang worden gelogd en beoordeeld.
Een Privacy Officer kan uitvoering en opvolging organiseren. De FG houdt onafhankelijk toezicht en moet niet ongemerkt eigenaar worden van beleid of dagelijkse maatregelen. Deze scheiding geeft het bestuur zowel uitvoeringskracht als een onafhankelijke toets.
4–5: bewaartermijnen en nieuwe toepassingen
Voor medische dossiers geldt in het algemeen een minimale bewaartermijn van twintig jaar vanaf de laatste wijziging, met mogelijke uitzonderingen. Vertaal die regels naar dossiercategorieën, systemen, archieven en een aantoonbaar vernietigingsproces.
Start bij nieuwe digitale zorg, AI, monitoring of grootschalige gegevensverwerking tijdig met een DPIA. Een beoordeling vóór ontwerp- of contractkeuzes maakt privacybescherming haalbaarder en goedkoper dan repareren na ingebruikname.
6–7: ketenpartners, incidenten en gedrag
Controleer rollen, instructies, beveiliging, subleveranciers, doorgiften en incidentafspraken met leveranciers en zorgpartners. Niet het contractlabel, maar de feitelijke zeggenschap en gegevensstroom bepalen welke afspraken nodig zijn.
Oefen ten slotte een incidentroute en investeer in herkenbare awareness. Medewerkers moeten weten hoe zij veilig delen, twijfel bespreekbaar maken en een fout direct melden. Zo verandert privacy van een jaarlijkse controle in professioneel dagelijks gedrag.
Officiële bronnen en verdere informatie
Deze publicatie geeft algemene duiding. Voor toepasselijkheid en formele verplichtingen blijft de concrete situatie bepalend.
Rijksoverheid — Bewaren medisch dossierIGJ — Informatiebeveiliging in de zorgIGJ — Vragen over NEN 7510Autoriteit Persoonsgegevens — Datalek: dit moet u doen